Projet TechShop — exercices

Le calcul du /30 : 30 bits de réseau, il reste 2 bits pour les hôtes, soit 4 combinaisons — moins l'adresse réseau et l'adresse de broadcast.

Retenez le /30 tel quel : c'est le masque des liaisons entre deux routeurs, et il tombe à chaque examen.

Le « + 1 » compte l'adresse de départ elle-même : c'est l'erreur classique, qui donne 233.

Dans le VLAN 20 :

Garder de la marge est délibéré : la prochaine imprimante réseau ou le prochain point d'accès Wi-Fi y trouveront une adresse fixe sans avoir à retoucher le plan.

Règle du VLSM : on sert le plus gros besoin en premier, sinon on fragmente l'espace et le gros bloc ne rentre plus.

Vérification des frontières — chaque sous-réseau doit commencer là où le précédent finit :

• TECH /27 occupe 32 adresses : .0 à .31, broadcast .31. Le suivant démarre donc à .32.
• VENTE /28 occupe 16 adresses : .32 à .47, broadcast .47. Suivant à .48.
• ADMIN /28 : .48 à .63, broadcast .63. Suivant à .64.
• WAN /30 : .64 à .67, broadcast .67.

Piège classique : traiter VENTE (8 postes) avant TECH parce qu'il est cité en premier dans le sujet. On perd alors l'alignement des blocs et l'on finit par chevaucher deux sous-réseaux. Du plus grand au plus petit, toujours.

enable
configure terminal
 hostname SW-2
 no ip domain-lookup

vlan 10
 name VENTE
vlan 20
 name ADMIN
vlan 99
 name native
 exit

interface range fa0/6-15
 switchport mode access
 switchport access vlan 10
 exit

interface range fa0/16-24
 switchport mode access
 switchport access vlan 20
 exit

interface fa0/1
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,99
 exit
end
copy running-config startup-config

copy running-config startup-config n'est pas décoratif : sans lui, tout est perdu au redémarrage. Le jour de l'épreuve, c'est le genre d'oubli qui efface une heure de travail.

Le VLAN 99 n'est pas autorisé à l'autre extrémité. Sur SW-1, le port fa0/1 déclare switchport trunk allowed vlan 30 — sans le 99. Un VLAN n'est réellement transporté que si les deux bouts l'acceptent ; ici il est élagué.

Conséquence immédiate : aucune. Le VLAN 99 a été choisi comme VLAN natif précisément parce qu'il est vide — aucun port d'accès, aucune interface virtuelle, aucune donnée. Rien à transporter, donc rien à perdre. Le lien est trunking, les postes TECH communiquent, tous les tests passent.

Conséquence différée : le jour où le VLAN 99 sert à quelque chose — une adresse d'administration sur les commutateurs, du trafic de supervision — il ne traversera pas ce lien. La panne apparaîtra des mois après la ligne fautive, et personne ne fera le rapprochement.

SW-1(config)# interface fa0/1
SW-1(config-if)# switchport trunk allowed vlan 30,99

Et surtout : prenez l'habitude de lire le troisième bloc. Le deuxième dit ce que vous avez demandé, le troisième ce que le réseau fait. En dépannage, seul le troisième compte.

vlan 999
 name PARKING
 exit

interface range fa0/2-5 , gig0/1-2
 switchport mode access
 switchport access vlan 999     ← un VLAN qui ne mène nulle part
 shutdown                       ← et le port est coupé
 exit

Pourquoi les deux mesures, et pas une seule :

• shutdown seul — un port éteint peut être rallumé par quiconque obtient un accès à la console. La ceinture sans les bretelles.
• VLAN 999 seul — un port actif, même isolé, reste un point d'entrée : un attaquant y observe au moins le trafic de diffusion du VLAN 999 et peut tenter de négocier un trunk.
• Les deux — le port est mort et, s'il revit, il ne mène nulle part.

Quatre équipements sont concernés. En oublier un suffit à tout casser.

vlan 40
 name SAV
 exit
interface range fa0/2-5
 switchport mode access
 switchport access vlan 40
 exit
interface fa0/1
 switchport trunk allowed vlan 10,20,40,99   ← le trunk doit accepter le 40

vlan 40
 name SAV
 exit
interface fa0/3                                ← vers SW-2
 switchport trunk allowed vlan 10,20,40,99
 exit
interface fa0/1                                ← vers R-STICK
 switchport trunk allowed vlan 10,20,30,40,99

interface g0/0.40
 encapsulation dot1q 40
 ip address 192.168.40.1 255.255.255.0
 ip helper-address 192.168.20.11             ← sinon pas de DHCP
 ip nat inside                                ← sinon pas de NAT depuis ce VLAN
 exit

4. Le serveur DHCP : créer le pool VLAN40_SAV — passerelle 192.168.40.1, DNS 192.168.20.11, début 192.168.40.21.

A fonctionne — à condition que g0/0 ait été allumée auparavant, et que le port du commutateur en face soit en trunk.

B ne fonctionne pas. L'interface physique est éteinte, donc toutes ses sous-interfaces le sont aussi. Elles apparaissent en administratively down dans show ip interface brief, et le réseau 192.168.20.0/24 n'apparaît même pas dans show ip route : un réseau connecté n'y figure que si son interface est active. C'est le meilleur indice.

C ne fonctionne pas. Sans encapsulation dot1q 20, la sous-interface ne sait pas quelle étiquette 802.1Q lui est destinée. Elle porte une adresse IP mais ne reçoit aucune trame étiquetée : les postes du VLAN 20 ne joignent pas leur passerelle.

interface g0/0.10
 ip helper-address 192.168.20.11     ← VENTE : le serveur est ailleurs
 exit
interface g0/0.30
 ip helper-address 192.168.20.11     ← TECH : idem
 exit
                                      ← g0/0.20 : RIEN

Sur g0/0.10 et g0/0.30 : leurs postes sont dans un autre domaine de broadcast que le serveur. Leur DHCPDISCOVER, émis vers 255.255.255.255, s'arrête au routeur — qui bloque les broadcasts par construction. Le relais le convertit en unicast vers le serveur.

Pas sur g0/0.20 : le serveur est dans le VLAN 20. Les postes ADMIN et lui partagent le même domaine de broadcast, l'appel lui arrive directement. La commande serait au mieux inutile, au pire génératrice de doublons — le serveur recevrait la même demande deux fois.

Et le relais fait une seconde chose, souvent ignorée : il inscrit l'adresse de la sous-interface (192.168.10.1) dans le champ giaddr du paquet. C'est ce champ qui indique au serveur dans quel pool puiser. Sans lui, le serveur ne saurait pas distinguer une demande de VENTE d'une demande de TECH.

PC-A — aucune réponse DHCP. 169.254.x.x est la plage APIPA, que le système s'attribue quand rien ne répond. Les causes, dans l'ordre : port dans le mauvais VLAN (show vlan brief), ip helper-address absent de g0/0.10, ou serveur DHCP arrêté.

PC-B — le poste est physiquement dans le mauvais VLAN. Il a bien reçu un bail, valide, mais du mauvais pool : son port du commutateur est en access vlan 10 au lieu de 30. Le DHCP fonctionne parfaitement — c'est la couche 2 qui est en cause. Une adresse cohérente mais du mauvais réseau désigne toujours le port d'accès, jamais le serveur.

PC-C — adresse dans la plage réservée. .7 est inférieur à .21 : soit le poste a été configuré en statique à la main, soit la plage du pool a été mal saisie sur le serveur. Le risque est le conflit : .10 et .11 sont les serveurs, et rien ne garantit qu'un prochain bail ne tombera pas dessus.

En IOS, no devant une commande la supprime. Cette ligne n'exclut donc rien : elle retire l'exclusion (ou, si elle n'existait pas, ne fait rien). Le pool VLAN 10 peut distribuer toute la plage, y compris 192.168.10.1 — l'adresse de la passerelle — et 192.168.10.11.

Le symptôme, vu de l'utilisateur : un poste du pôle VENTE démarre, reçoit 192.168.10.1, et à partir de cet instant plus rien ne sort du VLAN 10 pour personne — deux machines répondent à l'adresse de la passerelle. Le poste suivant démarre normalement. On obtient une panne intermittente et généralisée, déclenchée par un poste au hasard : le pire cas de figure à diagnostiquer.

L'indice qui trahit : le journal du commutateur ou du routeur signale un conflit d'adresse, et arp -a sur un poste montre deux adresses MAC différentes pour 192.168.10.1 selon le moment.

ip dhcp excluded-address 192.168.10.1 192.168.10.11

! puis on VÉRIFIE, systématiquement
show running-config | include excluded

Cette faute vient presque toujours d'un copier-coller depuis une session où l'on avait défait une configuration. L'œil relit la commande et saute le préfixe. Le show running-config | include est la seule parade fiable.

R-STICK(config)#    ip route 192.168.50.0 255.255.255.0 10.0.0.2
R-ENTREPOT(config)# ip route 0.0.0.0 0.0.0.0 10.0.0.1

R-ENTREPOT est un réseau d'extrémité (stub) : un seul câble vers le monde. Énumérer les destinations serait absurde — il faudrait ajouter une ligne à chaque VLAN créé au siège. Une route par défaut couvre tout, définitivement.

R-STICK a deux sorties : le lien WAN et le lien Internet. Une route par défaut vers 10.0.0.2 enverrait aussi le trafic Internet dans l'entrepôt. Il faut donc nommer précisément le réseau concerné.

1. Le poste siège (192.168.10.24) envoie l'écho à sa passerelle 192.168.10.1.
2. R-STICK consulte sa table, trouve S 192.168.50.0/24 via 10.0.0.2 et transmet. L'aller réussit.
3. R-ENTREPOT reçoit, voit que 192.168.50.0/24 est directement connecté et livre au poste. La demande arrive.
4. Le poste entrepôt fabrique la réponse vers 192.168.10.24 et l'envoie à sa passerelle 192.168.50.1.
5. R-ENTREPOT cherche 192.168.10.0/24 dans sa table. Il ne connaît que son propre réseau. Aucune route par défaut. Il jette le paquet.

Résultat affiché : Request timed out — quatre fois. Rien n'indique que la demande est pourtant bien arrivée à destination.

Le réflexe à prendre : après chaque route écrite, se demander à voix haute « et pour revenir ? ».

Le réseau manquant est 192.168.20.0/24 — le VLAN ADMIN. Or un réseau directement connecté apparaît toujours dans la table… tant que son interface est active.

Donc g0/0.20 est éteinte, ou n'a pas d'adresse IP, ou n'a jamais été créée. Conséquence en cascade : plus de passerelle pour ADMIN, plus de serveur de fichiers, plus de serveur DHCP/DNS joignable — et donc plus de DHCP du tout, pour les trois VLAN, puisque le relais pointe vers 192.168.20.11.

Une ligne absente d'une table de routage en dit plus long qu'une ligne présente. Prenez l'habitude de compter : quatre réseaux au siège, il doit y avoir quatre C.

! 1. la règle de traduction
ip nat inside source static 192.168.30.10 203.0.113.20

! 2. l'interface tournée vers l'extérieur
interface g0/1
 ip address 203.0.113.10 255.255.255.0
 ip nat outside
 no shutdown
 exit

! 3. les interfaces tournées vers l'intérieur — TOUTES les sous-interfaces
interface g0/0.10
 ip nat inside
interface g0/0.20
 ip nat inside
interface g0/0.30
 ip nat inside
 end

Les trois blocs sont indissociables. La règle seule ne fait rien : sans inside et outside, le routeur ignore dans quel sens traduire et laisse passer les paquets tels quels.

La panne est silencieuse : show running-config montre bien la ligne ip nat inside source static, tout paraît configuré, et rien ne marche.

1. Vérifier que les rôles sont posés — c'est la cause d'échec numéro un :

R-STICK#show ip nat statistics
Total translations: 1 (1 static, 0 dynamic, 0 extended)
Outside Interfaces: GigabitEthernet0/1
Inside Interfaces: GigabitEthernet0/0.10 , GigabitEthernet0/0.20 , GigabitEthernet0/0.30

Si l'une des deux lignes Interfaces est vide, inutile d'aller plus loin.

2. Capturer la table AVANT tout trafic — la traduction statique existe en permanence, seule :

Pro  Inside global   Inside local    Outside local   Outside global
---  203.0.113.20    192.168.30.10   ---             ---

3. Générer du trafic depuis Internet : depuis l'hôte 203.0.113.30, ping 203.0.113.20. Les réponses doivent arriver.

4. Recapturer la table APRÈS — les sessions ICMP apparaissent :

Pro   Inside global     Inside local       Outside local     Outside global
icmp  203.0.113.20:18   192.168.30.10:18   203.0.113.30:18   203.0.113.30:18
icmp  203.0.113.20:19   192.168.30.10:19   203.0.113.30:19   203.0.113.30:19
---   203.0.113.20      192.168.30.10      ---               ---

Les quatre colonnes : Inside local = l'adresse privée réelle · Inside global = la façade publique · Outside local/global = le correspondant, identiques ici faute d'un second NAT en face.

Il faut du NAT dynamique avec surcharge — le PAT : tous les postes derrière la même adresse publique, distingués par le numéro de port.

! 1. désigner qui a le droit de sortir
access-list 1 permit 192.168.0.0 0.0.255.255

! 2. les traduire derrière l'adresse de l'interface publique
ip nat inside source list 1 interface g0/1 overload

La commande manquante : la route par défaut. La table de routage de R-STICK affiche Gateway of last resort is not set. Le routeur jette donc tout paquet dont la destination ne figure pas dans sa table — c'est-à-dire tout Internet. Traduire un paquet qu'on va jeter ne sert à rien.

ip route 0.0.0.0 0.0.0.0 203.0.113.1     ← le routeur du FAI

Dans la maquette cela ne se voyait pas : le réseau « Internet » (203.0.113.0/24) est directement branché sur g0/1, donc connu du routeur. Le manque n'apparaît qu'à la première destination réellement distante.

Le cahier des charges ne demandait que le flux entrant. Savoir énoncer la limite — « aucun poste ne sort sur Internet aujourd'hui, il faudrait du PAT et une route par défaut » — vaut mieux que de laisser croire que tout fonctionne déjà.

ip access-list extended PROTECT_ADMIN
 permit ip 192.168.10.0 0.0.0.255 host 192.168.20.10      ← exception 1
 permit ip 192.168.10.0 0.0.0.255 host 192.168.20.11      ← exception 2
 deny   ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255  ← le refus
 permit ip any any                                        ← contre le deny implicite
 exit

interface g0/0.20
 ip access-group PROTECT_ADMIN out
 exit

L'ordre est la règle entière. Une ACL se lit de haut en bas et s'arrête à la première correspondance. Placez le deny avant les permit : il englobe 192.168.20.10, le paquet vers le serveur de fichiers est refusé avant d'avoir rencontré son autorisation — et VENTE perd le partage alors que la ligne qui l'autorise est bien là, juste en dessous.

La quatrième ligne n'est pas décorative. Toute ACL se termine par un deny any any invisible. Sans permit ip any any, l'ACL posée en sortie de g0/0.20 bloquerait tout ce qui entre dans le VLAN ADMIN : le pôle TECH, l'entrepôt, les réponses du serveur DHCP. Le réseau paraîtrait cassé au hasard.

out sur g0/0.20 : on filtre ce qui part vers ADMIN, quelle qu'en soit l'origine. C'est le bon choix quand on protège une ressource. Filtrer in sur g0/0.10 serait plus efficace — le paquet est jeté avant routage — mais il faudrait répéter l'ACL sur chaque VLAN source le jour où d'autres pôles sont concernés.

Vérification du /26 : 255 − 192 = 63. Et c'est cohérent — un /26 contient 64 adresses, donc les valeurs 0 à 63 du dernier octet sont « libres ».

Lecture bit à bit : 0 = ce bit doit correspondre, 1 = ce bit est libre. C'est exactement l'inverse d'un masque de sous-réseau — d'où le nom de masque inverse. Les raccourcis host et any évitent la faute d'inattention : préférez-les partout où ils s'appliquent.

C'est 192.168.10.1 qui répond — la passerelle, pas la destination. Le routeur a reçu le paquet, l'a refusé au titre de l'ACL, et l'annonce par un ICMP destination unreachable. C'est la signature d'un blocage volontaire et actif.

Le second test, indispensable : depuis le même poste VENTE, ping 192.168.20.10 — le serveur de fichiers — doit réussir.

C:\>ping 192.168.20.10
Reply from 192.168.20.10: bytes=32 time<1ms TTL=127
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss)

Sans elle, rien ne distingue une ACL bien écrite d'une ACL qui coupe tout — ou d'un câble débranché. Une preuve de refus n'a de valeur qu'accompagnée d'une preuve d'autorisation.

Le port du commutateur vers le routeur est en mode access, pas trunk. Un port d'accès ne livre qu'un seul VLAN, sans étiquette : les sous-interfaces g0/0.20 et g0/0.30 ne reçoivent jamais de trame portant leur étiquette.

Le symptôme est déroutant parce qu'un VLAN marche — celui qui correspond au VLAN d'accès du port — et donne l'impression que le routeur va bien.

SW-COEUR#show interfaces fa0/1 switchport
Name: Fa0/1
Switchport: Enabled
Administrative Mode: static access        ← ✘ devrait être « trunk »
Operational Mode: static access
Access Mode VLAN: 10 (VENTE)

interface fa0/1
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,30,99

Le VLAN 40 n'a pas été ajouté à la liste allowed d'un trunk du chemin. C'est l'oubli numéro un lors de l'ajout d'un VLAN, et le symptôme le désigne précisément : les postes se voient entre eux — ils sont sur le même commutateur, la commutation locale fonctionne — mais rien ne sort de ce commutateur.

SW-2#show interfaces trunk

Port    Vlans allowed on trunk
Fa0/1   10,20,99                    ← ✘ le 40 manque

Et il faut vérifier tous les trunks traversés, pas seulement le premier : SW-2 → SW-COEUR, puis SW-COEUR → R-STICK. Un seul maillon suffit à couper.

SW-2(config-if)#     switchport trunk allowed vlan 10,20,40,99
SW-COEUR(config-if)# switchport trunk allowed vlan 10,20,40,99      ! fa0/3
SW-COEUR(config-if)# switchport trunk allowed vlan 10,20,30,40,99   ! fa0/1

Pensez aussi à créer le VLAN sur chaque commutateur traversé : un VLAN autorisé sur un trunk mais inexistant dans la base du commutateur ne transporte rien.

Un conflit d'adresse. L'adresse du serveur n'a pas été exclue de la plage DHCP : le serveur DHCP l'attribue à un poste qui démarre, et deux machines répondent alors à 192.168.20.10. L'intermittence s'explique toute seule — elle dépend de quel poste s'allume et quand son bail expire.

La confirmation, depuis un poste du VLAN 20 :

C:\>arp -a
  Internet Address    Physical Address      Type
  192.168.20.10       00e0.f7a1.3b22        dynamic     ← relevé ce matin
  192.168.20.10       0060.7041.c1d4        dynamic     ← relevé cet après-midi

Deux adresses MAC différentes pour une même adresse IP : le diagnostic est fait. Côté serveur DHCP, la table des baux montre l'attribution fautive.

La correction, en deux temps :

1. exclure la plage réservée du pool (.1 à .20) ;
2. libérer le bail fautif, puis ipconfig /release et /renew sur le poste concerné pour qu'il reprenne une adresse correcte.

Exclure sans fixer, ou fixer sans exclure, laisse la porte ouverte. C'est exactement le scénario qu'aurait produit le no ip dhcp excluded-address de l'exercice 11 — à ceci près qu'il visait la passerelle, ce qui est encore pire.

Les pools DHCP des VLAN 10 et 30 annoncent un serveur DNS qui n'existe pas. C'est précisément la faute de la version intermédiaire du projet : dns-server 192.168.10.11 pour VENTE et 192.168.30.11 pour TECH, alors que l'unique serveur DNS est 192.168.20.11.

Le VLAN 20 fonctionne parce que son pool, lui, annonce la bonne adresse — par coïncidence : 192.168.20.11 est le serveur.

C:\>ipconfig /all
   DNS Servers . . . . . . : 192.168.10.11     ← ✘ personne à cette adresse

C:\>ping 192.168.10.11
Request timed out.                              ← confirmation

Correction : tous les pools annoncent le même et unique serveur DNS.

ip dhcp pool VLAN10_VENTE
 dns-server 192.168.20.11
ip dhcp pool VLAN30_TECH
 dns-server 192.168.20.11

Cette panne était invisible dans le compte rendu : tous les tests visaient des adresses IP, aucun un nom. Un seul ping serveurfichiers.techshop.local l'aurait révélée. La ligne [192.168.20.10] entre crochets dans la réponse est la preuve que le DNS fonctionne.

Les rôles inside / outside ne sont pas posés sur les interfaces. Le routeur ne sait pas de quel côté est le dedans : il ne traduit rien et laisse passer les paquets tels quels.

R-STICK#show ip nat statistics
Total translations: 1 (1 static, 0 dynamic, 0 extended)
Outside Interfaces:                       ← ✘ vide
Inside Interfaces:                        ← ✘ vide
Hits: 0  Misses: 0

interface g0/1
 ip nat outside
interface g0/0.30
 ip nat inside

C'est la panne la plus silencieuse du projet : la configuration paraît complète, la règle est visible, et show running-config ne montre rien d'anormal. Seul show ip nat statistics révèle le manque. Prenez l'habitude de le lancer après chaque configuration de NAT.

Le permit ip any any final manque. Toute ACL se termine par un deny any any implicite, que l'on ne voit nulle part dans la configuration.

Résultat : le trafic venu du VLAN 30, de l'entrepôt ou d'Internet ne correspond à aucune des trois règles écrites — et tombe donc sur le refus implicite. Tout est bloqué sauf les deux exceptions accordées à VENTE.

Pourquoi le DHCP tombe aussi : les réponses du serveur 192.168.20.11 vers les postes ADMIN ne traversent pas cette sous-interface — mais le relais DHCP, lui, fait entrer dans le VLAN 20 les demandes venues de VENTE et de TECH. Celles de TECH (192.168.30.x) ne correspondent à aucune règle : elles sont jetées.

ip access-list extended PROTECT_ADMIN
 permit ip any any                  ← ajouté en dernier

R-STICK#show access-lists PROTECT_ADMIN
Extended IP access list PROTECT_ADMIN
    10 permit ip 192.168.10.0 0.0.0.255 host 192.168.20.10
    20 permit ip 192.168.10.0 0.0.0.255 host 192.168.20.11
    30 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
    40 permit ip any any                          ← bien en dernier

Une ACL qui n'autorise rien à la fin interdit tout. On l'oublie une fois — jamais deux.

1. VLAN plutôt que réseaux physiques. Trois réseaux séparés demanderaient trois jeux de commutateurs et de câbles. Les VLAN obtiennent la même isolation logique sur un seul matériel, et une réaffectation de poste se fait par commande au lieu d'un recâblage. Limite : l'isolation dépend de la configuration — une erreur de port suffit à la percer, là où un réseau physique resterait séparé.

2. VLAN natif en 99. Le trafic du VLAN natif circule sans étiquette sur un trunk. Laissé au VLAN 1 par défaut — celui où atterrissent tous les ports non configurés — il ouvre la porte au VLAN hopping par double étiquetage. Un VLAN 99 dédié et vide garantit qu'aucune donnée utile ne voyage sans étiquette.

3. ip helper-address. Un poste sans adresse émet son DHCPDISCOVER en broadcast, et un routeur bloque les broadcasts. Le serveur étant dans le VLAN 20, les demandes de VENTE et de TECH mourraient sur la sous-interface. Le relais les convertit en unicast et inscrit l'adresse de la sous-interface dans le champ giaddr, ce qui indique au serveur dans quel pool puiser.

4. Les deux types de routes. L'entrepôt est un réseau d'extrémité : une seule sortie, donc une route par défaut qui couvre toutes les destinations, y compris futures. Le siège a deux sorties — le WAN et Internet — et une route par défaut vers l'entrepôt y enverrait aussi le trafic Internet.

5. NAT statique et non PAT. Le besoin est entrant : rendre un serveur joignable de l'extérieur à une adresse stable. Le PAT traduit des sessions sortantes et ne permet pas d'initier une connexion depuis Internet. Limite assumée : avec cette seule règle, aucun poste du siège ne sort sur Internet — il faudrait ajouter du PAT et une route par défaut.

6. La faiblesse. Le commutateur cœur est un point de défaillance unique : s'il tombe, tout le siège tombe. En production je doublerais le lien en EtherChannel et la passerelle en HSRP. Second point, le lien unique vers l'entrepôt : aucune redondance, et aucun chiffrement du trafic entre les deux sites.

Une seule chose, mais sérieusement : que le rapport décrive la maquette livrée. Document ouvert d'un côté, Packet Tracer de l'autre, ligne par ligne.

Le piège vécu sur ce projet : la maquette a été améliorée après l'écriture du rapport — DHCP passé du routeur à un serveur dédié, équipements renommés, ACL ajoutée. Le rapport décrivait donc une version antérieure, moins bonne que celle livrée. Le travail était meilleur que le document qui le présentait.

Un jury qui tape show running-config et lit R-STICK là où le rapport annonce S1-Coeur se pose une question gênante — et la pose à voix haute. Le rapport se met à jour en dernier, après le dernier changement de la maquette.